Porté par l’Enisa (l’agence en charge de la cybersécurité au sein de l’UE), le schéma européen de certification des services cloud (EUCS) a fait l’objet, ces dernières années, d’âpres débats entre les Étatsmembres, quant à savoir s’il fallait s’aligner sur le plus haut niveau de protection contre les lois extra-territoriales, à savoir le SecNumCloud français porté au travers de l’initiative High+. Alors que les versions initiales de l’EUCS, prévoyaient un schéma aligné sur ce niveau de protection élevé, les versions ultérieures l’abandonnèrent, sous la pression du lobbying américain. Le Cnil s’en était d’ailleurs à l’époque, en juillet 2024, inquiétée.
Le printemps du SecNumCloud, au niveau français et européen
Avec le retour de Donald Trump au pouvoir, la donne géopolitique a profondément modifié la vision des acteurs français et européens, sur le caractère urgent et impérieux de se protéger contre la menace des lois extraterritoriales américaines. “Les discussions européennes actuelles et la possibilité qu’un niveau High+, ou un équivalent, puisse passer revient, du fait même de l’arrivée de Donald Trump”, constate Servane Augier, directrice des affaires publiques de NumSpot.
La santé, la finance et la défense en priorité
Les secteurs stratégiques comme la santé, la finance et la défense pourraient se voir obligés de recourir à une solution cloud souveraine, selon un résumé des débats du Conseil de l’UE, datant du 25 avril dernier et dévoilé par Contexte. Compte tenu du flou que recouvre la notion de “cloud souverain” (cf. plus bas les questions soulevées par cette définition), ce consensus ne signifie pas pour autant que la qualification SecNumCloud sera unanimement adoptée dans le cadre de l’EUCS. Il témoigne néanmoins de la volonté des États européens de passer par des “capacités cloud contrôlées par l’UE et certifiées sur leur cybersécurité.”
Le (SecNum)Cloud au centre
Élaborée en juillet 2021, la doctrine “Cloud au centre” vise à encourager la migration vers le cloud des administrations et opérateurs de l’État. En mai 2023, une mise à jour de cette doctrine précise que “l’hébergement des données d’une sensibilité particulière” doit se faire par des solutions disposant de la qualification SecNumCloud. Le 22 avril dernier, nous apprennent nos confrères de Politico, une lettre a été envoyée par les ministres de l’Action publique (Laurent Marcangeli), des Comptes publics (Amélie de Montchalin) et du Numérique (Clara Chappaz) aux autres ministères, pour les encourager à s’assurer de la protection de leurs données sensibles vis-à-vis des accès extraterritoriaux. Cette forme de rappel à l’ordre intervient dans le contexte particulier de la guerre commerciale lancée par Donald Trump. Ainsi, la lettre du 22 avril évoque clairement les “évolutions du contexte international” et demande de privilégier le recours à des “solutions conçues et développées selon les standards européens” pour participer à “une plus grande indépendance de l’État.”